WO2019044174A1 - 監視装置、監視システムおよびコンピュータプログラム - Google Patents
監視装置、監視システムおよびコンピュータプログラム Download PDFInfo
- Publication number
- WO2019044174A1 WO2019044174A1 PCT/JP2018/025740 JP2018025740W WO2019044174A1 WO 2019044174 A1 WO2019044174 A1 WO 2019044174A1 JP 2018025740 W JP2018025740 W JP 2018025740W WO 2019044174 A1 WO2019044174 A1 WO 2019044174A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- monitoring
- unit
- control unit
- monitoring device
- processing
- Prior art date
Links
- 238000012544 monitoring process Methods 0.000 title claims abstract description 441
- 238000012806 monitoring device Methods 0.000 title claims abstract description 159
- 238000004590 computer program Methods 0.000 title claims description 13
- 238000012545 processing Methods 0.000 claims abstract description 104
- 230000002159 abnormal effect Effects 0.000 claims abstract description 82
- 230000005856 abnormality Effects 0.000 claims abstract description 68
- 238000001514 detection method Methods 0.000 claims abstract description 44
- 238000000034 method Methods 0.000 claims description 26
- 230000008569 process Effects 0.000 claims description 22
- 230000010365 information processing Effects 0.000 claims 1
- 238000004886 process control Methods 0.000 description 35
- 230000006870 function Effects 0.000 description 25
- 230000008859 change Effects 0.000 description 24
- 230000005540 biological transmission Effects 0.000 description 21
- 238000012986 modification Methods 0.000 description 17
- 230000004048 modification Effects 0.000 description 17
- 230000006399 behavior Effects 0.000 description 10
- 238000010586 diagram Methods 0.000 description 5
- 238000001914 filtration Methods 0.000 description 5
- 230000004913 activation Effects 0.000 description 2
- 238000004891 communication Methods 0.000 description 2
- 239000000470 constituent Substances 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 238000010276 construction Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 239000002243 precursor Substances 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
- H04L43/0805—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability
- H04L43/0817—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability by checking functioning
-
- B—PERFORMING OPERATIONS; TRANSPORTING
- B60—VEHICLES IN GENERAL
- B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
- B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
- B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
- B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05D—SYSTEMS FOR CONTROLLING OR REGULATING NON-ELECTRIC VARIABLES
- G05D1/00—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots
- G05D1/0088—Control of position, course, altitude or attitude of land, water, air or space vehicles, e.g. using automatic pilots characterized by the autonomous decision making process, e.g. artificial intelligence, predefined behaviours
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
- G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
- G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
- G06F11/0751—Error or fault detection not based on redundancy
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
- G06F11/0766—Error or fault reporting or storing
- G06F11/0784—Routing of error reports, e.g. with a specific transmission path or data flow
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/30—Monitoring
- G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
- G06F11/3013—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is an embedded system, i.e. a combination of hardware and software dedicated to perform a certain function in mobile devices, printers, automotive or aircraft systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/30—Monitoring
- G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
- G06F11/3466—Performance evaluation by tracing or monitoring
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
-
- G—PHYSICS
- G07—CHECKING-DEVICES
- G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
- G07C5/00—Registering or indicating the working of vehicles
- G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
- G07C5/0841—Registering performance data
- G07C5/085—Registering performance data using electronic data carriers
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/2854—Wide area networks, e.g. public data networks
- H04L12/2856—Access arrangements, e.g. Internet access
- H04L12/2869—Operational details of access network equipments
- H04L12/2878—Access multiplexer, e.g. DSLAM
- H04L12/2879—Access multiplexer, e.g. DSLAM characterised by the network type on the uplink side, i.e. towards the service provider network
- H04L12/2881—IP/Ethernet DSLAM
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/40—Bus networks
- H04L12/40006—Architecture of a communication node
- H04L12/40013—Details regarding a bus controller
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/02—Capturing of monitoring data
- H04L43/028—Capturing of monitoring data by filtering
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
- H04L43/0823—Errors, e.g. transmission errors
- H04L43/0847—Transmission error
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/40—Bus networks
- H04L2012/40208—Bus networks characterized by the use of a particular bus standard
- H04L2012/40215—Controller Area Network CAN
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/40—Bus networks
- H04L2012/40267—Bus for use in transportation systems
- H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/44—Star or tree networks
- H04L2012/445—Star or tree networks with switching in a hub, e.g. ETHERNET switch
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
Definitions
- the present disclosure relates to data processing technology, and more particularly to a monitoring device, a monitoring system and a computer program.
- a car is composed of a plurality of electronic devices and a plurality of network (NW) domains, and a security function may be introduced to each of the plurality of electronic devices.
- Entry point devices such as IVI (In Vehicle Infotainment) device, TCU (Telematics Control Unit), and (2) GW (Gateway), Ethernet switch (“Ethernet”)
- IVI In Vehicle Infotainment
- TCU Transmission Control Unit
- GW Gateway
- Ethernet switch Ethernet switch
- a network device such as a registered trademark
- an electronic control unit hereinafter referred to as an "ECU" that controls a terminal system in a car can be included.
- the present disclosure suitably controls processes related to the security of mobility, such as vehicles.
- the monitoring device monitors an abnormal state of a first monitoring target included in a plurality of monitoring devices installed in mobility.
- the monitoring device has a receiving unit and a control unit.
- the receiving unit receives an abnormality detection result by another monitoring device that monitors an abnormal state of a second monitoring target different from the first monitoring target.
- the control unit changes processing executed by the monitoring device according to the result of detection of abnormality by another monitoring device.
- a monitoring system includes a first monitoring device and a second monitoring device.
- the first monitoring device is mounted on the mobility.
- the first monitoring device detects whether the first monitoring target is in an abnormal state, and transmits an abnormality detection result to a second monitoring device that monitors a second monitoring target different from the first monitoring target.
- the second monitoring device is mounted on the mobility.
- the second monitoring device receives the abnormality detection result transmitted from the first monitoring device, and changes the process executed by the second monitoring device according to the abnormality detection result.
- processing related to security of mobility of a vehicle or the like can be suitably controlled.
- the vehicle of the embodiment is equipped with a plurality of monitoring devices that monitor the states of different targets (also referred to as components of the vehicle).
- the monitoring range of these monitoring devices is limited independently, and there is a possibility that they may be falsely detected as abnormal even though the monitoring target is actually normal with a certain probability. is there. Therefore, if each monitoring device executes the invalidation processing for the detected attack or the processing for controlling the car on the safety side (also referred to as "fail-safe processing") based on the monitoring result of the own device alone, Excessive invalidation processing and failsafe processing may be performed relative to the state of the entire vehicle.
- each monitoring device makes it possible to refer to the state of the vehicle in a range that can not be grasped by the own device by mutually notifying the states of the monitoring targets detected by the own device.
- each monitoring device appropriately executes data processing related to the security of the vehicle according to the state of the vehicle in a range that can not be grasped by the own device, and appropriately adjusts or changes the mode of the data processing. It becomes possible.
- the monitoring target is normal includes a state in which an attack (illegal frame or the like) has not been received from an external device, and that regular firmware without tampering is executed. Further, the abnormality of the monitoring target includes a state in which an attack (illegal frame or the like) has been received from an external device, execution of tampered firmware or illegal firmware.
- FIG. 1 schematically shows the configuration of a vehicle 10 according to the embodiment.
- the vehicle 10 has an Ethernet 20 and a CAN (Controller Area Network) 22 as an internal network (hereinafter also referred to as “in-vehicle NW”).
- the vehicle 10 also includes an IVI device 12, an Ethernet monitoring ECU 14, and a CAN monitoring ECU 16 as a plurality of types of monitoring devices. These monitoring devices monitor the status of predetermined objects associated with the vehicle 10.
- the targets of monitoring include elements inside the vehicle 10 and elements outside the vehicle 10 (e.g., an NW outside the vehicle) to which the vehicle 10 is connected.
- the IVI device 12 is an electronic device that provides various information to the user, and may have, for example, a car navigation function and an audio function.
- the IVI device 12 is connected to the outside NW 18 such as the Internet, and communicates with devices outside the vehicle 10.
- NW 18 such as the Internet
- the IVI device 12 detects whether the NW 18 outside the vehicle is in an abnormal state. For example, the IVI device 12 receives a message flowing through the NW 18 outside the vehicle, and detects whether the message is abnormal.
- the Ethernet monitoring ECU 14 has an interface with the Ethernet 20.
- the Ethernet monitoring ECU 14 monitors the Ethernet 20 and detects whether the Ethernet 20 is in an abnormal state. Specifically, the Ethernet monitoring ECU 14 detects that the Ethernet frame, which is a message flowing through the Ethernet 20, is abnormal.
- the Ethernet monitoring ECU 14 may be implemented in a form in which the relay device in the Ethernet 20 has a monitoring function.
- the CAN monitoring ECU 16 has an interface with the CAN 22.
- the CAN monitoring ECU 16 monitors the CAN 22 and detects whether the CAN 22 is in an abnormal state. Specifically, when the CAN frame which is a message flowing through the CAN 22 is abnormal, the CAN monitoring ECU 16 detects that.
- the CAN monitoring ECU 16 may be implemented in a form in which the relay device in the CAN 22 has a monitoring function.
- the IVI device 12 is connected to the Ethernet monitoring ECU 14 via the Ethernet 20, and connected to the CAN monitoring ECU 16 via the CAN 22. Further, the Ethernet monitoring ECU 14 and the CAN monitoring ECU 16 are connected via the IVI device 12 or a predetermined GW (not shown).
- the message may include commands for other devices.
- FIG. 2 is a block diagram showing a functional configuration of the CAN monitoring ECU 16 of FIG.
- the CAN monitoring ECU 16 includes a frame receiving unit 30, a frame invalidation unit 31, a monitoring unit 32, a log storage unit 38, a log transmitting unit 40, a monitoring result transmitting unit 42, a monitoring result receiving unit 44, and a processing control unit 46.
- Each block shown in the block diagram of the present specification can be realized by hardware as a CPU (Central Processing Unit) of a computer, an element such as a memory or an element such as a memory, or software as a computer program or the like.
- CPU Central Processing Unit
- an element such as a memory or an element such as a memory
- software as a computer program or the like.
- functional blocks realized by their cooperation are depicted. It is understood by those skilled in the art that these functional blocks can be realized in various forms by a combination of hardware and software.
- a computer program including a module corresponding to each block in FIG. 2 may be stored in a recording medium, and may be introduced into the CAN monitoring ECU 16 via the recording medium. Also, the computer program may be introduced to the CAN monitoring ECU 16 via a network. The CPU of the CAN monitoring ECU 16 may exert the function of each block by reading and executing the computer program as appropriate.
- the monitoring unit 32 monitors the state of a predetermined monitoring target associated with the vehicle 10.
- the monitoring unit 32 is also referred to as an abnormality detecting unit, and detects whether or not the monitoring target is in an abnormal state.
- the monitoring unit 32 includes an NW monitoring unit 34 and a host monitoring unit 36.
- the frame reception unit 30 receives the CAN frame output to the CAN 22 by an external device (for example, another ECU such as a brake ECU) of the CAN monitoring ECU 16.
- the NW monitoring unit 34 detects whether the CAN frame received by the frame receiving unit 30 (hereinafter also referred to as a “received frame”) is abnormal.
- the NW monitoring unit 34 stores a blacklist indicating CAN-IDs (CAN-Identifiers) to be invalidated, and when the CAN-ID set in the received frame matches the CAN-ID in the blacklist, The received frame may be detected as abnormal.
- the NW monitoring unit 34 may store a whitelist indicating a normal CAN-ID, and may detect that the received frame in which the unmatched CAN-ID is set in the whitelist is abnormal. If the received frame is an Ethernet frame, the correctness of the received frame may be determined based on the Media Access Control (MAC) address set in the received frame.
- MAC Media Access Control
- the NW monitoring unit 34 may determine whether or not the received frame is abnormal based on the cycle of the message (for example, the reception interval of the message of the same CAN-ID). In addition, the NW monitoring unit 34 may determine whether the received frame is abnormal based on the change characteristic of the data indicated by the message. For example, the NW monitoring unit 34 may determine that the received frame is abnormal when the change amount of the speed data indicated by the message of the same CAN-ID exceeds a predetermined threshold.
- the frame invalidation unit 31 executes processing for invalidating the received frame determined to be abnormal by the NW monitoring unit 34.
- the frame invalidation unit 31 may invalidate the received frame flowing through the CAN 22 by outputting an error frame corresponding to the received frame to the CAN 22.
- NW such as Ethernet
- the frame invalidation unit 31 may filter (discard, etc.) the received frame in which the abnormality is detected. You may suppress the relay process which outputs again to NW.
- the host monitoring unit 36 detects an abnormality of the own apparatus using a known technique such as a digital signature. Specifically, the host monitoring unit 36 verifies whether the firmware stored in the device itself is correct, in other words, detects whether the firmware of the device has been tampered with illegally. The host monitoring unit 36 executes so-called secure boot, that is, verifies that the firmware has not been tampered with when the CAN monitoring ECU 16 is activated. The host monitoring unit 36 may further verify that the application to be executed has not been falsified at the time of execution of the application in the CAN monitoring ECU 16 (immediately before execution).
- a known technique such as a digital signature
- the host monitoring unit 36 When the host monitoring unit 36 detects an operation that deviates from forced access control, which is a function of restricting access to a specific process or file at the system level such as a kernel, the host monitoring unit 36 determines that the own device is abnormal. For example, when the firmware or application accesses a specific file whose access is prohibited by predetermined forced access control, the host monitoring unit 36 determines that the firmware of the own device or the own device is abnormal. It is also good.
- forced access control which is a function of restricting access to a specific process or file at the system level such as a kernel
- the log storage unit 38 stores a monitoring log indicating a monitoring result (in other words, an abnormality detection result) by the monitoring unit 32 in a predetermined storage area.
- the log storage unit 38 stores a monitoring log indicating that the CAN 22 (or a frame flowing through the CAN 22) detected by the NW monitoring unit 34 is normal or abnormal in a non-volatile memory in the CAN monitoring ECU 16.
- the log storage unit 38 monitors the monitoring log indicating that the CAN monitoring ECU 16 (or the firmware of the CAN monitoring ECU 16) detected by the host monitoring unit 36 is normal or abnormal. May be stored.
- the log transmission unit 40 transmits a monitoring log indicating the monitoring result by the monitoring unit 32 to the external device.
- the log transmission unit 40 transmits a monitoring log indicating that the CAN 22 detected by the NW monitoring unit 34 is normal or abnormal to a predetermined entry point device (IVI device 12, TCU, etc.) You may make it accumulate.
- the log transmission unit 40 may transmit a monitoring log indicating that the CAN monitoring ECU 16 detected by the host monitoring unit 36 is normal or abnormal to the entry point device.
- the monitoring result transmitting unit 42 transmits the monitoring result by the monitoring unit 32 to another monitoring device (the IVI device 12 and the Ethernet monitoring ECU 14 in the embodiment).
- the monitoring result includes data indicating that the CAN 22 detected by the NW monitoring unit 34 is normal or abnormal.
- the monitoring result also includes data indicating that the CAN monitoring ECU 16 detected by the host monitoring unit 36 is normal or abnormal.
- the monitoring result receiving unit 44 receives an abnormality detection result transmitted from another monitoring device. For example, the monitoring result receiving unit 44 receives, from the IVI apparatus 12, the monitoring result of the in-vehicle NW 18 and the host monitoring result. Also, the monitoring result receiving unit 44 receives the Ethernet frame monitoring result and the host monitoring result from the Ethernet monitoring ECU 14.
- the processing control unit 46 changes the security related processing executed by the own device or the behavior of the vehicle 10 according to the result of detection of abnormality by another monitoring device. As described below, the process control unit 46 can set various types of operations as change targets. The following change target examples 1 to 4 can be said to be security-related processing executed by the CAN monitoring ECU 16.
- the process control unit 46 may switch the operation mode of the monitoring unit 32. For example, the process control unit 46 may change the process for detecting whether the own apparatus or the NW is in an abnormal state. Specifically, the process control unit 46 may switch the monitoring rule of the monitoring unit 32. For example, the process control unit 46 may switch between a wide tolerance rule that is regarded as normal and a narrow tolerance rule.
- the rule with a wide tolerance in NW monitoring may be, for example, a rule that regards a relatively wide range as the variation of the cycle or data as normal.
- the narrow tolerance rule in the NW monitoring may be, for example, a rule that considers a relatively narrow range as normal for the period or the amount of change in data.
- the rule having a wide allowable range in host monitoring may be, for example, a rule in which the number or type of programs targeted for detection of at least one of tampering and a forced access control violation is relatively small.
- the narrow tolerance rule in host monitoring may be, for example, a rule in which the number or types of programs targeted for detection of at least one of tampering and forced access control violation are relatively large.
- the process control unit 46 may expand or reduce the monitoring target range of the monitoring unit 32. For example, the process control unit 46 may switch between detecting tampering within the range up to the middleware and detecting tampering within the range where the application is added to the middleware. Furthermore, the process control unit 46 may switch the monitoring timing of the monitoring unit 32. For example, the process control unit 46 may switch between verifying that the software has been tampered with only when the software has been started and periodically verifying that the software has been tampered with.
- the process control unit 46 may switch the operation mode of the frame invalidation unit 31. Specifically, invalidation of the CAN frame in which the abnormality is detected by the error frame, and the CAN frame in which the abnormality is detected You may switch between recording and not disabling. Further, the process control unit 46 may switch whether to filter (for example, discard) a message (for example, a CAN frame or an Ethernet frame) in which an abnormality is detected.
- the process control unit 46 may switch the operation mode of the log storage unit 38, and more specifically, may switch whether to store the monitoring log in the non-volatile memory. Further, the processing control unit 46 may switch the storage target in the monitoring log. For example, the process control unit 46 may switch between saving only the message in which the abnormality is detected and storing a predetermined number of messages before and after the message in which the abnormality is detected. The latter aspect is useful for grasping a precursor or tendency when an abnormality occurs.
- the process control unit 46 may switch the operation mode of the log transmission unit 40, and more specifically, transmit the monitoring log to a Security Operation Center (SOC) (not shown) provided outside the vehicle 10. You may switch the presence or absence. In addition, the process control unit 46 may switch the presence or absence of transmission of the monitoring log to another monitoring device (IVI device 12, TCU, etc.).
- SOC Security Operation Center
- the process control unit 46 may switch between a state in which the automatic driving function of the vehicle 10 is enabled and a state in which the automatic driving function is disabled. In this case, the process control unit 46 issues a command instructing to enable (in other words, start) the automatic driving function or a command instructing to disable (in other words, end) the automatic driving function. It may be transmitted to an automatic driving controller (not shown) of the vehicle 10 or an ADAS (Advanced Driver Assistance System) ECU (not shown). In addition, the process control unit 46 cooperates with the automatic driving controller, the ADAS, or another ECU to disable fail safe processing (for example, stop processing of automatic driving) in the vehicle 10 and the fail safe processing. It is possible to switch between the two states.
- ADAS Advanced Driver Assistance System
- the functional configuration of the IVI device 12 is also the same as that of the CAN monitoring ECU 16 (FIG. 2).
- the frame reception unit 30 of the IVI device 12 receives a communication frame from the NW 18 outside the vehicle.
- the transmission destination is the Ethernet monitoring ECU 14 and the CAN monitoring ECU 16.
- the transmission source is the Ethernet monitoring ECU 14 and the CAN monitoring ECU 16.
- the frame invalidation unit 31 of the IVI apparatus 12 may filter (for example, discard) the received frame, instead of transmitting the error frame, according to the address and period of the received frame, the change characteristic of the data, and the like.
- the functional configuration of the Ethernet monitoring ECU 14 is also similar to that of the CAN monitoring ECU 16 (FIG. 2).
- the frame reception unit 30 of the Ethernet monitoring ECU 14 receives a frame from the Ethernet 20.
- the transmission destination of the monitoring result transmitting unit 42 of the Ethernet monitoring ECU 14 is the IVI device 12 and the CAN monitoring ECU 16.
- the transmission source is the IVI device 12 and the CAN monitoring ECU 16.
- the frame invalidation unit 31 of the Ethernet monitoring ECU 14 may filter (for example, discard) the received frame, instead of transmitting the error frame, according to the address and period of the received frame, the change characteristic of data, and the like.
- FIG. 3 is a flowchart showing the operation of the CAN monitoring ECU 16 of FIG. The figure mainly shows monitoring processing and security related processing among the processing executed by the CAN monitoring ECU 16.
- Other monitoring devices in the vehicle 10, that is, the IVI device 12 and the Ethernet monitoring ECU 14 also perform the same monitoring processing and security related processing as the CAN monitoring ECU 16.
- the NW monitoring unit 34 determines the normality of the received CAN frame (S12). If the CAN frame has not been received (N at S10), S12 is skipped. If the host monitoring execution timing (for example, when the CAN monitoring ECU 16 is activated or when a predetermined time has elapsed since the previous host monitoring) (Y in S14), the host monitoring unit 36 is stored in the memory or the like of its own device The normality of the firmware is verified (S16). If it is not the execution timing of host monitoring (N of S14), S16 is skipped. The NW monitoring and the host monitoring may be executed in parallel regardless of the execution order of the NW monitoring and the host monitoring.
- the log storage unit 38 stores a log indicating the result in a predetermined storage area according to at least one of the result of host monitoring and the result of NW monitoring (S18).
- the log transmission unit 40 transmits a log indicating the result to a predetermined external device according to at least one of the host monitoring result and the NW monitoring result (S20).
- the monitoring result transmitting unit 42 transmits both the data indicating the result of host monitoring and the data indicating the result of NW monitoring to the IVI device 12 and the Ethernet monitoring ECU 14 (S22). Depending on the timing of host monitoring and the timing of NW monitoring, any one monitoring result may be transmitted. Alternatively, the monitoring result may be transmitted to one of the IVI device 12 and the Ethernet monitoring ECU 14.
- the monitoring result receiving unit 44 receives data indicating the host monitoring result output from the IVI apparatus 12 and the Ethernet monitoring ECU 14 and data indicating the NW monitoring result via the communication network (Y in S24).
- the process control unit 46 changes the predetermined security related process Or change the behavior of the vehicle 10 (S28). If the result of monitoring by another monitoring apparatus is not received (N in S24), S26 and S28 are skipped, and if there is no change in the result of monitoring (N in S26), S28 is skipped.
- the CAN monitoring ECU 16 repeatedly executes the process shown in FIG.
- FIG. 4 shows an example of operation switching in the IVI apparatus 12.
- the IVI device 12 includes the same functional block (FIG. 2) as the CAN monitoring ECU 16.
- the processing control unit 46 performs host monitoring so as to detect the presence or absence of tampering within the middleware range in host monitoring of the own device.
- Control unit 36 On the other hand, if at least one of the host monitoring results by the plurality of other monitoring devices is abnormal, the processing control unit 46 detects the presence or absence of tampering up to the application range in addition to the middleware in host monitoring of the own device.
- the monitoring unit 36 is controlled.
- the processing control unit 46 stores the log storage unit 38 so as to save only the message in which abnormality is detected in the NW monitoring of the own device. Control.
- the processing control unit 46 adds a predetermined number of messages before and after the message in which the abnormality is detected in the NW monitoring of the own device.
- the log storage unit 38 is controlled to store the message in the non-volatile memory.
- the processing control unit 46 detects the presence / absence of falsification of the firmware only at the time of startup of the own device in host monitoring of the own device.
- the host monitoring unit 36 is controlled to do this.
- the processing control unit 46 periodically detects the falsification of the firmware as host monitoring of the own device. Control.
- the processing control unit 46 saves the monitoring log of the own device in the local storage area, but suppresses transmission to the external device The log storage unit 38 and the log transmission unit 40 are controlled. On the other hand, if at least one of the NW monitoring results by the plurality of other monitoring devices is abnormal, the processing control unit 46 saves the monitoring log of the own device in a local storage area and sends it to the SOC The storage unit 38 and the log transmission unit 40 are controlled.
- FIG. 5 shows an example of operation switching in the Ethernet monitoring ECU 14.
- the Ethernet monitoring ECU 14 includes the same functional blocks as the CAN monitoring ECU 16 (FIG. 2).
- the processing control unit 46 controls the frame invalidation unit 31 so as to suppress the filtering process such as frame discarding if the host monitoring results by the plurality of other monitoring devices are all normal.
- the process control unit 46 controls the frame invalidation unit 31 to enable the filtering process.
- the processing control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively wide allowable range. Control. In other words, the process control unit 46 loosens the criteria for determining that the Ethernet 20 is normal. On the other hand, if the NW monitoring result by the CAN monitoring ECU 16 is abnormal, the process control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively narrow allowable range. Control. In other words, the process control unit 46 tightens the criteria for determining that the Ethernet 20 is normal.
- the processing control unit 46 saves the monitoring log of the own device in the local storage area, but the log storage unit 38 and the transmission control to the external device are suppressed.
- the log transmission unit 40 is controlled.
- the processing control unit 46 saves the monitoring log of the own device in the local storage area and transmits the log to the IVI device 12 and the log storage unit 38 The transmission unit 40 is controlled.
- the processing control unit 46 suppresses the operation switching and continues the monitoring operation up to that point. On the other hand, if at least one of the host monitoring results by the plurality of other monitoring devices is abnormal, the processing control unit 46 transmits a command instructing the end of the automatic driving to the automatic driving controller, and the vehicle 10 The automatic operation controller or another ECU is controlled to execute at least one fail safe process of stopping.
- the processing control unit 46 controls the frame invalidation unit 31 to suppress the execution of the filtering processing such as discarding the frame in which the abnormality is detected.
- the process control unit 46 controls the frame invalidation unit 31 to execute the filtering process.
- the processing control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively wide allowable range. Control.
- the process control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively narrow allowable range. Control.
- FIG. 6 shows an example of operation switching in the CAN monitoring ECU 16.
- the processing control unit 46 saves the log of the frame in which the abnormality is detected in a predetermined storage area if all the host monitoring results by the plurality of other monitoring devices are normal.
- the log storage unit 38 and the frame invalidation unit 31 are controlled to suppress the output of the error frame for the frame in which the.
- the processing control unit 46 saves the log of the frame in which the abnormality is detected in a predetermined storage area, and the abnormality is detected.
- the log storage unit 38 and the frame invalidation unit 31 are controlled to output an error frame for the selected frame.
- the processing control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively wide allowable range. Control.
- the process control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule whose tolerance range is relatively narrow. Control.
- the processing control unit 46 saves the monitoring log of the own device in the local storage area, but the log storage unit 38 and the transmission control to the external device are suppressed.
- the log transmission unit 40 is controlled.
- the processing control unit 46 saves the monitoring log of the own device in the local storage area and transmits the log to the IVI device 12 and the log storage unit 38 The transmission unit 40 is controlled.
- the processing control unit 46 suppresses the operation switching and continues the monitoring operation up to that point. On the other hand, if at least one of the host monitoring results by the plurality of other monitoring devices is abnormal, the processing control unit 46 transmits a command instructing the end of the automatic driving to the automatic driving controller, and the vehicle 10 The automatic operation controller or another ECU is controlled to execute at least one fail safe process of stopping.
- the processing control unit 46 stores the log of the frame in which the abnormality is detected in a predetermined storage area, but the output of the error frame to the frame in which the abnormality is detected.
- the log storage unit 38 and the frame invalidation unit 31 are controlled to suppress the
- the processing control unit 46 saves the log of the frame in which the abnormality is detected in a predetermined storage area, and outputs the error frame for the frame in which the abnormality is detected.
- the log storage unit 38 and the frame invalidation unit 31 are controlled to do so.
- the processing control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively wide allowable range. Control.
- the process control unit 46 performs at least one of the NW monitoring unit 34 and the host monitoring unit 36 to execute the monitoring process based on the monitoring rule having a relatively narrow allowable range. Control.
- the monitoring devices (for example, each of the IVI device 12, Ethernet monitoring ECU 14, and CAN monitoring ECU 16) mounted on the vehicle 10 according to the embodiment understand the state other than the monitoring target by the own device in cooperation with other monitoring devices. , And security related processing according to the state of the entire vehicle 10 can be performed. Further, the behavior of the vehicle 10 can be changed in accordance with the state of the entire vehicle 10. This makes it easy to avoid the execution of excessive failsafe processing even when the monitoring device alone erroneously detects an abnormality.
- the processing control unit 46 may select any one of a plurality of types of operation switching modes determined in advance, in accordance with the number of abnormalities detected by the plurality of other monitoring devices.
- the number may be the number of monitoring devices in which an abnormality is detected in the same monitoring target (inside of device, in-vehicle NW, etc.), or the number of monitoring targets in which an abnormality is detected.
- the processing control unit 46 may switch the monitoring standard of the own apparatus to a stricter standard as the number is larger, and may execute security related processing associated with a more serious abnormality.
- FIG. 7 shows an example of operation switching in the IVI apparatus 12 of the first modification.
- the processing control unit 46 controls the host monitoring unit 36 to detect the presence or absence of tampering up to the range of middleware when the device is started in host monitoring of the own device. Do. On the other hand, if at least one of the host monitoring results by a plurality of other monitoring devices is abnormal, the processing control unit 46 detects the presence or absence of tampering up to the application range in addition to the middleware when the device is started in host monitoring of the own device. Control the host monitoring unit 36;
- the process control unit 46 periodically detects the presence or absence of tampering up to the application range, in addition to the time of device activation. Control. If the host monitoring results by the plurality of other monitoring devices are all abnormal, there is a high probability that the device itself is also under attack such as falsification of the program. Therefore, by expanding both the monitoring target and the monitoring timing from the normal time, it becomes easy to detect an abnormality of the own device quickly and reliably.
- FIG. 8 shows an example of operation switching in the IVI apparatus 12 of the second modification. Up to the fourth line in the figure is the operation switching based on each correctness of the host monitoring and the NW monitoring, and since the operation has been described in the operation example (1) of FIG.
- the process control unit 46 executes the above-described operation switching according to each of the host monitoring result and the NW monitoring result, and further terminates the automatic operation of the vehicle 10 when both the host monitoring and the NW monitoring are abnormal. .
- the processing control unit 46 may end the automatic operation together with the expansion of the monitoring target and the expansion of the log storage target.
- at least one of the host monitoring result by the Ethernet monitoring ECU 14 and the host monitoring result by the CAN monitoring ECU 16 is abnormal
- at least one of the NW monitoring result by the Ethernet monitoring ECU 14 and the NW monitoring result by the CAN monitoring ECU 16 is abnormal. When it becomes, it may be determined that both host monitoring and NW monitoring are abnormal.
- FIG. 9 is a block diagram corresponding to FIG. 2 and showing a functional configuration of the CAN monitoring ECU 16 of the third modification.
- the functional configurations of the IVI device 12 and the Ethernet monitoring ECU 14 are also similar to that of the CAN monitoring ECU 16.
- the monitoring unit 32 may further output both the result of NW monitoring by the NW monitoring unit 34 and the result of host monitoring by the host monitoring unit 36 to the processing control unit 46.
- the processing control unit 46 may change the security related processing executed by the own device or the behavior of the vehicle 10 based on the combination of the monitoring result by the other monitoring device and the monitoring result by the own device.
- FIG. 10 shows an example of operation switching in the IVI apparatus 12 of the third modification.
- the individual operations in FIG. 10 are the same as those described with reference to FIG.
- the processing control unit 46 may control host monitoring of the own device so as to detect tampering up to the application and periodically detect tampering of the own device.
- the processing control unit 46 saves an error message + messages before and after + log and SOC It may be controlled to start log notification.
- the degree of importance may be set in advance for each monitoring target, and the processing control unit 46 of the monitoring apparatus may switch the operation according to the degree of importance of the monitoring target that has detected an abnormality. Specifically, the process control unit 46 selects one of a plurality of types of operation switching modes determined in advance, in accordance with the importance of the monitoring target for which an abnormality has been detected by a plurality of other monitoring devices. May be
- the degree of importance may be set according to the type of monitoring target (inside monitoring device, in-vehicle NW, out-of-vehicle NW, etc.) For example, out-of-vehicle NW is low importance, in-vehicle NW is medium importance, monitoring device inside is A high degree of importance may be set.
- the processing control unit 46 may switch the monitoring standard of its own device to a stricter standard as the degree of importance of the monitoring target in which the abnormality is detected is higher, and security related processing associated with the more serious abnormality. It may be executed.
- the vehicle 10 may have a monitoring device other than that described in the embodiment.
- the number of monitoring devices is not limited.
- the vehicle 10 may have an NW other than that described in the embodiment, for example, CAN FD (CAN with Flexible Data-Rate), FlexRay, MOST (Media Oriented Systems Transport), etc., and monitors these NWs. May have a monitoring device.
- NW CAN FD
- FlexRay FlexRay
- MOST Media Oriented Systems Transport
- CAN FD CAN with Flexible Data-Rate
- MOST Media Oriented Systems Transport
- another monitoring device may be provided for each channel.
- two entry point monitoring devices may be provided for two types of vehicle exterior NWs.
- two CAN monitoring ECUs may be provided for the two CANs.
- the number of monitoring devices mounted on the vehicle 10 may be two.
- the IVI device 12 and the CAN monitoring ECU 16 are mounted on the vehicle 10, and an example of operation switching in the IVI device 12 will be described with reference to the operation example (1) in FIG. If the host monitoring result by the CAN monitoring ECU 16 is normal, the IVI device 12 controls to detect the presence or absence of tampering up to the range of middleware in host monitoring of the own device. On the other hand, if the host monitoring result by the CAN monitoring ECU 16 is abnormal, in addition to the middleware, the IVI device 12 controls to detect the presence or absence of tampering up to the application range in host monitoring of the own device.
- the IVI device 12 controls to save only the message in which the abnormality is detected in the non-volatile memory in the NW monitoring of the own device.
- the IVI apparatus 12 stores a predetermined number of messages before and after it in the non-volatile memory in addition to the message detecting the abnormality in the NW monitoring of itself. Control.
- Any ECU such as a gateway or a control ECU may have the monitoring function described in the embodiment.
- Arbitrary known techniques can be applied to a method of notifying monitoring result data between monitoring devices.
- the monitoring result may be notified via an in-vehicle network (CAN, CAN FD, Ethernet, MOST, FlexRay, etc.).
- the monitoring result may be notified via a dedicated line (DIKA line, CAN, Ethernet, etc.).
- the process control unit 46 may transmit the operation switching instruction to another device according to the monitoring result as well as the activation and the invalidation of the automatic driving.
- the monitoring result may include not only normal and abnormal but also an undetermined state.
- the pending state may include, for example, a state before the monitoring function operation, and may include a state under verification by the monitoring function.
- Each of the plurality of monitoring devices in the vehicle 10 may notify another monitoring device of a monitoring result indicating an undetermined state before or during the monitoring function operation.
- the processing control unit 46 may execute processing different from when the monitoring result is normal and abnormal when the monitoring result is in an undecided state.
- the process control unit 46 does not activate the automatic operation function when at least a part of all monitoring results, for example, host monitoring results by the own device and other monitoring devices and NW monitoring results include an undetermined state or an abnormality. It may control an automatic operation controller or ADAS. Further, when the monitoring result indicating the undecided state is notified from another monitoring device, the process control unit 46 continues until the other monitoring device notifies a monitoring result indicating an abnormality, that is, until the abnormality is determined.
- the frame invalidation unit 31 may be controlled to suppress frame invalidation processing.
- the monitoring result may include a gray state in addition to the normal and abnormal states, or may include a gray state in addition to the normal and abnormal and undetermined states.
- the gray state is a state in which it is difficult to determine normal or abnormal by the monitoring function.
- the NW monitoring unit 34 is a message that takes a value included in a normal range, when the value of the message is close to a threshold for determining an abnormality, the NW monitoring unit 34 may determine the message as a gray state.
- the NW monitoring result may be determined to be gray.
- the host monitoring unit 36 may also determine that the host monitoring result is gray when the value related to the state of the own device is in the normal range, but the value is close to the threshold value determined to be abnormal.
- the processing control unit 46 may execute processing different from that in the case where the monitoring result is normal, abnormal, or not determined.
- the said embodiment demonstrated as a security countermeasure in the vehicle-mounted network mounted in a vehicle
- the application scope of this indication is not limited to this.
- the vehicle is an example of mobility.
- the present disclosure may be applied not only to vehicles but also to mobility such as construction machines, agricultural machines, ships, railways, and planes.
- the monitoring device monitors an abnormal state of a first monitoring target included in a plurality of monitoring devices installed in mobility.
- the monitoring device has a receiving unit and a control unit.
- the receiving unit receives an abnormality detection result by another monitoring device that monitors an abnormal state of a second monitoring target different from the first monitoring target.
- the control unit changes processing executed by the monitoring device according to the result of detection of abnormality by another monitoring device.
- this monitoring device it becomes possible to more appropriately control the aspect of security related processing or the behavior of mobility according to the status of various elements related to mobility beyond the range where the monitoring device alone can monitor the status. .
- the monitoring device according to item 1 may be an entry point device.
- the first monitoring target may be an entry point device or a network outside mobility.
- Another monitoring device may be an electronic control unit.
- the second monitored object may be an electronic control unit or a network inside mobility.
- this monitoring device it becomes possible to more appropriately control the aspect of security related processing or the behavior of mobility according to the status of various elements related to mobility beyond the range where the monitoring device alone can monitor the status. .
- the monitoring device may further include a detection unit that detects whether the first monitoring target is in an abnormal state.
- the control unit may change the detection processing by the detection unit.
- the aspect of the monitoring process can be appropriately adjusted in accordance with the state of various elements related to mobility.
- the monitoring device may further include a storage unit configured to store a log indicating a result of detection of abnormality of the first monitoring target.
- the control unit may change the storage processing by the storage unit.
- this monitoring device it is possible to appropriately adjust the aspect of the log storage process according to the state of various elements related to mobility.
- the monitoring device may be a first monitoring electronic control unit monitoring a first network inside the mobility.
- the first monitoring target may be a first monitoring electronic control unit or a first network.
- the other monitoring device may be a second monitoring electronic control unit monitoring a second network within mobility different from the first network.
- the second monitoring target may be a second monitoring electronic control unit or a second network.
- this monitoring device it becomes possible to more appropriately control the aspect of security related processing or the behavior of mobility according to the status of various elements related to mobility beyond the range where the monitoring device alone can monitor the status. .
- the first network and the second network may be one of Ethernet and the other of CAN.
- Ethernet and CAN are added to mobility, it is possible to more appropriately control the aspect of security related processing or the behavior of mobility according to the state thereof.
- the monitoring device may further include a detection unit that detects whether the first monitoring target is in an abnormal state.
- the control unit may change the detection processing by the detection unit.
- the monitoring processing by the own device can be more appropriately controlled according to the status of various elements related to mobility beyond the range where the status of the monitoring device alone can be monitored.
- the monitoring device may further include a frame reception unit and an invalidation unit.
- the frame reception unit receives the message transmitted from the external device.
- the invalidation unit invalidates the message.
- the control unit may change the invalidation processing by the invalidation unit.
- aspects such as message filtering or invalidation can be appropriately adjusted according to the state of various factors related to mobility.
- the monitoring device may further include a storage unit that stores a log indicating an abnormality detection result of the first monitoring target.
- the control unit may change the storage processing by the storage unit.
- this monitoring device it is possible to appropriately adjust the aspect of the log storage process according to the state of various elements related to mobility.
- the monitoring device may further include a notification unit that notifies the external device of a log indicating a result of detection of abnormality of the first monitoring target.
- the control unit may change the notification process by the notification unit.
- this monitoring device it is possible to appropriately adjust the aspect of log notification processing according to the state of various elements related to mobility.
- control unit may change the process related to the autonomous driving function of mobility.
- this monitoring device it is possible to appropriately control the autonomous driving function in the mobility in accordance with the state of various elements related to the mobility.
- the monitoring system has a first monitoring device and a second monitoring device.
- the first monitoring device is mounted on the mobility.
- the first monitoring device detects whether the first monitoring target is in an abnormal state, and transmits an abnormality detection result to a second monitoring device that monitors a second monitoring target different from the first monitoring target.
- the second monitoring device is mounted on the mobility.
- the second monitoring device receives the abnormality detection result transmitted from the first monitoring device, and changes the process executed by the second monitoring device according to the abnormality detection result.
- this monitoring system it is possible to more appropriately control the aspect of security related processing or the behavior of mobility according to the status of various elements related to mobility beyond the range where the status can be monitored by one monitoring device. Become.
- the computer program causes a monitoring device that monitors an abnormal state of a first monitoring target included in a plurality of monitoring devices installed in mobility to monitor another abnormal state of a second monitoring target that is different from the first monitoring target.
- the reception processing for receiving the result of abnormality detection by the monitoring device is executed.
- the computer program causes the monitoring device to execute control processing to change the processing to be executed by the monitoring device according to the result of detection of abnormality by another monitoring device.
- the monitoring device more appropriately controls the aspect of security related processing or the behavior of mobility according to the status of various elements related to mobility beyond the range where the monitoring device alone can monitor the status Can be realized.
- the present disclosure relates to data processing technology, and is particularly useful as a monitoring device, a monitoring system, and a computer program.
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- Computer Networks & Wireless Communication (AREA)
- General Physics & Mathematics (AREA)
- Signal Processing (AREA)
- General Engineering & Computer Science (AREA)
- Quality & Reliability (AREA)
- Computing Systems (AREA)
- Health & Medical Sciences (AREA)
- Medical Informatics (AREA)
- Environmental & Geological Engineering (AREA)
- Game Theory and Decision Science (AREA)
- Aviation & Aerospace Engineering (AREA)
- Mechanical Engineering (AREA)
- Business, Economics & Management (AREA)
- Artificial Intelligence (AREA)
- Evolutionary Computation (AREA)
- Automation & Control Theory (AREA)
- General Health & Medical Sciences (AREA)
- Radar, Positioning & Navigation (AREA)
- Remote Sensing (AREA)
- Computer Hardware Design (AREA)
- Mathematical Physics (AREA)
- Small-Scale Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
監視装置は、モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する。監視装置は、受信部と、制御部と、を有する。受信部は、第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する。制御部は、他の監視装置による異常検出結果に応じて、監視装置が実行する処理を変更する。
Description
本開示はデータ処理技術に関し、特に監視装置、監視システムおよびコンピュータプログラムに関する。
近年、自動車は、複数の電子機器および複数のネットワーク(NW)ドメインにより構成され、複数の電子機器のそれぞれにセキュリティ機能が導入されることがある。自動車に搭載される電子機器には、例えば、(1)IVI(In Vehicle Infotainment)装置、TCU(Telematics Control Unit)等のエントリポイント機器、(2)GW(Gateway)、イーサネットスイッチ(「イーサネット」は登録商標)等のネットワーク機器、(3)自動車内の末端のシステムを制御する電子制御ユニット(Electronic Control Unit、以下「ECU」と呼ぶ。)が含まれうる。
本開示は、車両などのモビリティのセキュリティに関連する処理を好適に制御する。
本開示の一態様の監視装置は、モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する。監視装置は、受信部と、制御部と、を有する。受信部は、第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する。制御部は、他の監視装置による異常検出結果に応じて、監視装置が実行する処理を変更する。
本開示の別の一態様の監視システムは、第一監視装置と、第二監視装置と、を有する。第一監視装置は、モビリティに搭載される。第一監視装置は、第一監視対象が異常状態かを検出し、第一監視対象とは異なる第二監視対象を監視する第二監視装置へ、異常検出結果を送信する。第二監視装置は、モビリティに搭載される。第二監視装置は、第一監視装置から送信された異常検出結果を受信し、異常検出結果に応じて、第二監視装置が実行する処理を変更する。
なお、以上の構成要素の任意の組合せ、本開示の表現を、コンピュータプログラム、コンピュータプログラムを記録した記録媒体、本装置を搭載した車両などのモビリティ間で変換したものもまた、本開示の態様として有効である。
本開示によれば、車両などのモビリティのセキュリティに関連する処理を好適に制御することができる。
本開示の実施の形態の説明に先立ち、従来の技術における問題点を簡単に説明する。自動車に搭載される複数の電子機器には、セキュリティ機能として、自機またはNW等に対する監視機能が導入されることが想定される。また、監視機能により攻撃を検知した際には、車両として安全に動作するための処理が求められる。ただし、各機器単体で監視可能な範囲は限られており、また、監視機能が攻撃を誤検知する可能性もある。そのため、それぞれの監視機器が自機で検知した攻撃に対する処理を実行すると、車両全体の状態で見た場合に過度な制御となる可能性がある。
実施の形態の詳細な構成を説明する前にまず概要を述べる。実施の形態の車両には、互いに異なる対象(車両の構成要素とも言える)の状態を監視する複数の監視装置が搭載される。これらの監視装置は、単体で監視可能な範囲は限られており、また、一定の確率で、監視対象が実際には正常であるにも関わらず、異常であるように誤検知する可能性がある。そのため、各監視装置が、自装置単体での監視結果に基づいて、検知した攻撃に対する無効化処理や自動車を安全側に制御するための処理(「フェイルセーフ処理」とも呼ぶ。)を実行すると、車両全体の状態に比して過剰な無効化処理やフェイルセーフ処理が実行される可能性がある。
実施の形態の車両では、複数の監視装置が自装置で検知した監視対象の状態を互いに通知しあうことで、各監視装置において、自装置では把握できない範囲の車両の状態を参照可能にする。これにより、各監視装置は、自装置では把握できない範囲の車両の状態に応じて、車両のセキュリティに関連するデータ処理を適切に実行し、また、そのデータ処理の態様を適切に調整または変更することが可能になる。
以下、監視対象が正常とは、外部装置から攻撃(不正なフレーム等)を受けていない状態、改ざんのない正規のファームウェアが実行されることを含む。また、監視対象が異常とは、外部装置から攻撃(不正なフレーム等)を受けている状態、改ざんされたファームウェアまたは不正なファームウェアが実行されることを含む。
図1は、実施の形態の車両10の構成を模式的に示す。車両10は、内部のネットワーク(以下「車載NW」とも呼ぶ。)として、イーサネット20とCAN(Controller Area Network)22を有する。また、車両10は、複数種類の監視装置として、IVI装置12、イーサネット監視ECU14、CAN監視ECU16を有する。これらの監視装置は、車両10に関連する所定の対象の状態を監視する。監視の対象には、車両10内部の要素と、車両10が接続される車両10外部の要素(車外NW等)が含まれる。
IVI装置12は、各種情報をユーザへ提供する電子機器であり、例えば、カーナビゲーション機能およびオーディオ機能を有してもよい。また、IVI装置12は、インターネット等の車外NW18と接続され、車両10外部の装置と通信する。IVI装置12は、車外NW18が異常な状態か否かを検出する。例えば、IVI装置12は、車外NW18を流れるメッセージを受信し、そのメッセージが異常か否かを検出する。
イーサネット監視ECU14は、イーサネット20とのインタフェースを有する。イーサネット監視ECU14は、イーサネット20を監視し、イーサネット20が異常な状態か否かを検出する。具体的には、イーサネット監視ECU14は、イーサネット20を流れるメッセージであるイーサネットフレームが異常である場合、そのことを検出する。なお、イーサネット監視ECU14は、イーサネット20における中継装置が監視機能を有する形態で実装されてもよい。
CAN監視ECU16は、CAN22とのインタフェースを有する。CAN監視ECU16は、CAN22を監視し、CAN22が異常な状態か否かを検出する。具体的には、CAN監視ECU16は、CAN22を流れるメッセージであるCANフレームが異常である場合、そのことを検出する。なお、CAN監視ECU16は、CAN22における中継装置が監視機能を有する形態で実装されてもよい。
IVI装置12は、イーサネット20を介してイーサネット監視ECU14に接続され、CAN22を介してCAN監視ECU16に接続される。また、イーサネット監視ECU14とCAN監視ECU16は、IVI装置12または所定のGW(不図示)を介して接続される。メッセージは、他の装置に対するコマンドを含んでもよい。
図2は、図1のCAN監視ECU16の機能構成を示すブロック図である。CAN監視ECU16は、フレーム受信部30、フレーム無効化部31、監視部32、ログ保存部38、ログ送信部40、監視結果送信部42、監視結果受信部44、処理制御部46を有する。
本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのCPU(Central Processing Unit)、メモリをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。
例えば、図2の各ブロックに対応するモジュールを含むコンピュータプログラムが、記録媒体に格納され、その記録媒体を介してCAN監視ECU16に導入されてもよい。また、上記コンピュータプログラムが、ネットワークを介してCAN監視ECU16に導入されてもよい。CAN監視ECU16のCPUは、そのコンピュータプログラムを適宜読み出して実行することにより、各ブロックの機能を発揮してもよい。
監視部32は、車両10に関連する予め定められた監視対象の状態を監視する。監視部32は、異常検出部とも言え、監視対象が異常な状態であるかどうかを検出する。監視部32は、NW監視部34とホスト監視部36を含む。
フレーム受信部30は、CAN監視ECU16の外部装置(例えば、ブレーキECUなどの他のECU)がCAN22へ出力したCANフレームを受信する。NW監視部34は、フレーム受信部30により受信されたCANフレーム(以下「受信フレーム」とも呼ぶ。)が異常か否かを検出する。例えば、NW監視部34は、無効とすべきCAN-ID(CAN-Identifier)を示すブラックリストを記憶し、受信フレームに設定されたCAN-IDがブラックリスト内のCAN-IDに一致する場合、受信フレームを異常と検出してもよい。なお、NW監視部34は、正規のCAN-IDを示すホワイトリストを記憶してもよく、ホワイトリストに不一致のCAN-IDが設定された受信フレームを異常と検出してもよい。なお、受信フレームがイーサネットフレームの場合、受信フレームに設定されたMAC(Media Access Control)アドレスに基づいて、受信フレームの正否を判定してもよい。
また、NW監視部34は、メッセージの周期(例えば、同一CAN-IDのメッセージの受信間隔)に基づいて、受信フレームが異常か否かを判定してもよい。また、NW監視部34は、メッセージが示すデータの変化特性に基づいて、受信フレームが異常か否かを判定してもよい。例えば、NW監視部34は、同一CAN-IDのメッセージが示す速度データの変化量が所定の閾値を超過する場合に、受信フレームが異常と判定してもよい。
フレーム無効化部31は、NW監視部34により異常と判定された受信フレームを無効化するための処理を実行する。例えば、フレーム無効化部31は、受信フレームに対応するエラーフレームをCAN22へ出力することにより、CAN22を流れる受信フレームを無効化してもよい。なお、監視対象がエラーフレームによる受信フレーム無効化ができないNW(イーサネット等)である場合、フレーム無効化部31は、異常を検出した受信フレームをフィルタリング(廃棄等)してもよく、当該受信フレームを再度NWへ出力する中継処理を抑制してもよい。
ホスト監視部36は、デジタル署名等の公知の技術を使用して、自装置の異常を検出する。具体的には、ホスト監視部36は、自装置内部に記憶されたファームウェアが正しいものであるかを検証し、言い換えれば、自身のファームウェアが不正に改ざんされていないかどうかを検出する。ホスト監視部36は、いわゆるセキュアブートを実行し、すなわち、CAN監視ECU16の起動時にファームウェアが改ざんされていないことを検証する。ホスト監視部36はさらに、CAN監視ECU16におけるアプリケーション実行時(実行直前)に、実行対象のアプリケーションが改ざんされていないことを検証してもよい。
また、ホスト監視部36は、特定のプロセスやファイルへのアクセスをカーネル等のシステムレベルで制限する機能である強制アクセス制御を逸脱する動作を検出した場合、自装置が異常と判定する。例えば、ホスト監視部36は、予め定められた強制アクセス制御によりアクセスが禁止された特定のファイルに対してファームウェアまたはアプリケーションがアクセスした場合、自装置または自装置のファームウェアが異常であると判定してもよい。
ログ保存部38は、監視部32による監視結果(言い換えれば異常検出結果)を示す監視ログを所定の記憶領域へ保存する。例えば、ログ保存部38は、NW監視部34により検出されたCAN22(もしくはCAN22を流れるフレーム)が正常であること、または異常であることを示す監視ログをCAN監視ECU16内部の不揮発メモリへ格納してもよい。また、ログ保存部38は、ホスト監視部36により検出されたCAN監視ECU16(もしくはCAN監視ECU16のファームウェア)が正常であること、または異常であることを示す監視ログをCAN監視ECU16内部の不揮発メモリへ格納してもよい。
ログ送信部40は、監視部32による監視結果を示す監視ログを外部装置へ送信する。例えば、ログ送信部40は、NW監視部34により検出されたCAN22が正常であること、または異常であることを示す監視ログを予め定められたエントリポイント装置(IVI装置12、TCU等)へ送信して蓄積させてもよい。また、ログ送信部40は、ホスト監視部36により検出されたCAN監視ECU16が正常であること、または異常であることを示す監視ログを上記エントリポイント装置へ送信してもよい。
監視結果送信部42は、監視部32による監視結果を他の監視装置(実施の形態ではIVI装置12、イーサネット監視ECU14)へ送信する。この監視結果は、NW監視部34により検出されたCAN22が正常であること、または異常であることを示すデータを含む。また、この監視結果は、ホスト監視部36により検出されたCAN監視ECU16が正常であること、または異常であることを示すデータを含む。
監視結果受信部44は、他の監視装置から送信された異常検出結果を受信する。例えば、監視結果受信部44は、車外NW18の監視結果とホスト監視結果とをIVI装置12から受信する。また、監視結果受信部44は、イーサネットフレームの監視結果とホスト監視結果とをイーサネット監視ECU14から受信する。
処理制御部46は、他の監視装置による異常検出結果に応じて、自装置が実行するセキュリティ関連処理または車両10の挙動を変更する。以下に示すように、処理制御部46は、様々な種別の動作を変更対象とすることができる。以下の変更対象例1~4は、CAN監視ECU16が実行するセキュリティ関連処理と言える。
変更対象例1.監視態様:
処理制御部46は、監視部32の動作態様を切り替えてもよく、例えば、自装置またはNWが異常な状態か否かを検出するための処理を変更してもよい。具体的には、処理制御部46は、監視部32の監視規則を切り替えてもよい。例えば、処理制御部46は、正常と見なす許容範囲が広い規則と、許容範囲が狭い規則とを切り替えてもよい。
処理制御部46は、監視部32の動作態様を切り替えてもよく、例えば、自装置またはNWが異常な状態か否かを検出するための処理を変更してもよい。具体的には、処理制御部46は、監視部32の監視規則を切り替えてもよい。例えば、処理制御部46は、正常と見なす許容範囲が広い規則と、許容範囲が狭い規則とを切り替えてもよい。
NW監視における許容範囲が広い規則は、例えば、周期またはデータの変化量について相対的に広い範囲を正常と見なす規則であってもよい。NW監視における許容範囲が狭い規則は、例えば、周期またはデータの変化量について相対的に狭い範囲を正常と見なす規則であってもよい。また、ホスト監視における許容範囲が広い規則は、例えば、改ざんおよび強制アクセス制御違反の少なくとも一方の検出対象とするプログラムの個数または種類が相対的に少ない規則であってもよい。ホスト監視における許容範囲が狭い規則は、例えば、改ざんおよび強制アクセス制御違反の少なくとも一方の検出対象とするプログラムの個数または種類が相対的に多い規則であってもよい。
また、処理制御部46は、監視部32による監視対象範囲を拡大または縮小してもよい。例えば、処理制御部46は、ミドルウェアまでの範囲で改ざんを検知することと、ミドルウェアにアプリケーションを加えた範囲で改ざんを検知することとを切り替えてもよい。さらにまた、処理制御部46は、監視部32の監視タイミングを切り替えてもよい。例えば、処理制御部46は、ソフトウェアの起動時にのみ当該ソフトウェアの改ざん有無を検証することと、定期的に複数のソフトウェアの改ざん有無を検証することとを切り替えてもよい。
変更対象例2.コマンドの無効化態様:
処理制御部46は、フレーム無効化部31の動作態様を切り替えてもよく、具体的には、異常が検出されたCANフレームをエラーフレームにより無効化することと、異常が検出されたCANフレームを記録するが無効化はしないこととを切り替えてもよい。また、処理制御部46は、異常が検出されたメッセージ(例えばCANフレームまたはイーサネットフレーム)をフィルタリング(例えば廃棄)することの有無を切り替えてもよい。
処理制御部46は、フレーム無効化部31の動作態様を切り替えてもよく、具体的には、異常が検出されたCANフレームをエラーフレームにより無効化することと、異常が検出されたCANフレームを記録するが無効化はしないこととを切り替えてもよい。また、処理制御部46は、異常が検出されたメッセージ(例えばCANフレームまたはイーサネットフレーム)をフィルタリング(例えば廃棄)することの有無を切り替えてもよい。
変更対象例3.異常記録態様:
処理制御部46は、ログ保存部38の動作態様を切り替えてもよく、具体的には、不揮発メモリへ監視ログを保存するか否かを切り替えてもよい。また、処理制御部46は、監視ログにおける保存対象を切り替えてもよい。例えば、処理制御部46は、異常が検出されたメッセージのみ保存することと、異常が検出されたメッセージに加えて、その前後の所定数のメッセージを保存することとを切り替えてもよい。後者の態様は、異常が発生する場合の前兆または傾向を把握する場合に有用である。
処理制御部46は、ログ保存部38の動作態様を切り替えてもよく、具体的には、不揮発メモリへ監視ログを保存するか否かを切り替えてもよい。また、処理制御部46は、監視ログにおける保存対象を切り替えてもよい。例えば、処理制御部46は、異常が検出されたメッセージのみ保存することと、異常が検出されたメッセージに加えて、その前後の所定数のメッセージを保存することとを切り替えてもよい。後者の態様は、異常が発生する場合の前兆または傾向を把握する場合に有用である。
変更対象例4.異常通知態様:
処理制御部46は、ログ送信部40の動作態様を切り替えてもよく、具体的には、車両10の外部に設けられたSOC(Security Operation Center)(不図示)へ監視ログを送信することの有無を切り替えてもよい。また、処理制御部46は、他の監視装置(IVI装置12、TCU等)へ監視ログを送信することの有無を切り替えてもよい。
処理制御部46は、ログ送信部40の動作態様を切り替えてもよく、具体的には、車両10の外部に設けられたSOC(Security Operation Center)(不図示)へ監視ログを送信することの有無を切り替えてもよい。また、処理制御部46は、他の監視装置(IVI装置12、TCU等)へ監視ログを送信することの有無を切り替えてもよい。
変更対象例5.車両の動作態様:
処理制御部46は、車両10における自動運転機能を有効にした状態と、自動運転機能を無効にした状態とを切り替えてもよい。この場合、処理制御部46は、自動運転機能を有効にする(言い換えれば開始する)ことを指示するコマンド、または、自動運転機能を無効にする(言い換えれば終了する)ことを指示するコマンドを、車両10の自動運転コントローラ(不図示)またはADAS(Advanced Driver Assistance System) ECU(不図示)へ送信してもよい。また、処理制御部46は、自動運転コントローラ、ADAS、または他のECUと連携して、車両10におけるフェイルセーフ処理(例えば自動運転の停止処理等)を有効にした状態と、フェイルセーフ処理を無効にした状態とを切り替えてもよい。
処理制御部46は、車両10における自動運転機能を有効にした状態と、自動運転機能を無効にした状態とを切り替えてもよい。この場合、処理制御部46は、自動運転機能を有効にする(言い換えれば開始する)ことを指示するコマンド、または、自動運転機能を無効にする(言い換えれば終了する)ことを指示するコマンドを、車両10の自動運転コントローラ(不図示)またはADAS(Advanced Driver Assistance System) ECU(不図示)へ送信してもよい。また、処理制御部46は、自動運転コントローラ、ADAS、または他のECUと連携して、車両10におけるフェイルセーフ処理(例えば自動運転の停止処理等)を有効にした状態と、フェイルセーフ処理を無効にした状態とを切り替えてもよい。
なお、IVI装置12の機能構成もCAN監視ECU16(図2)と同様である。異なる点として、IVI装置12のフレーム受信部30は、車外NW18から通信フレームを受信する。また、IVI装置12の監視結果送信部42は、送信先がイーサネット監視ECU14およびCAN監視ECU16になる。また、IVI装置12の監視結果受信部44は、送信元がイーサネット監視ECU14およびCAN監視ECU16になる。また、IVI装置12のフレーム無効化部31は、受信フレームのアドレスや周期、データの変化特性等に応じて、エラーフレームの送信に代えて、受信フレームをフィルタリング(例えば廃棄)してもよい。
また、イーサネット監視ECU14の機能構成もCAN監視ECU16(図2)と同様である。異なる点として、イーサネット監視ECU14のフレーム受信部30は、イーサネット20からフレームを受信する。また、イーサネット監視ECU14の監視結果送信部42は、送信先がIVI装置12およびCAN監視ECU16になる。また、イーサネット監視ECU14の監視結果受信部44は、送信元がIVI装置12およびCAN監視ECU16になる。また、イーサネット監視ECU14のフレーム無効化部31は、受信フレームのアドレスや周期、データの変化特性等に応じて、エラーフレームの送信に代えて、受信フレームをフィルタリング(例えば廃棄)してもよい。
図3は、図1のCAN監視ECU16の動作を示すフローチャートである。同図は、CAN監視ECU16が実行する処理のうち、主に、監視処理およびセキュリティ関連処理を示している。車両10における他の監視装置、すなわちIVI装置12およびイーサネット監視ECU14も、CAN監視ECU16と同様の監視処理およびセキュリティ関連処理を実行する。
フレーム受信部30が、CAN22からCANフレームを受信すると(S10のY)、NW監視部34は、受信されたCANフレームの正常性を判定する(S12)。CANフレームを未受信であれば(S10のN)、S12をスキップする。ホスト監視の実行タイミング(例えばCAN監視ECU16の起動時、または、前回のホスト監視から所定時間経過時)であれば(S14のY)、ホスト監視部36は、自装置のメモリ等に記憶されたファームウェアの正常性を検証する(S16)。ホスト監視の実行タイミングでなければ(S14のN)、S16をスキップする。なお、NW監視とホスト監視の実行順序は問わず、また、NW監視とホスト監視が並行して実行されてもよい。
ログ保存部38は、ホスト監視の結果とNW監視の結果の少なくとも一方に応じて、それらの結果を示すログを所定の記憶領域へ保存する(S18)。ログ送信部40は、ホスト監視の結果とNW監視の結果の少なくとも一方に応じて、それらの結果を示すログを所定の外部装置へ送信する(S20)。監視結果送信部42は、ホスト監視の結果を示すデータと、NW監視の結果を示すデータの両方をIVI装置12およびイーサネット監視ECU14へ送信する(S22)。なお、ホスト監視のタイミングと、NW監視のタイミングによっては、いずれか一方の監視結果を送信してもよい。また、IVI装置12とイーサネット監視ECU14のいずれか一方へ監視結果を送信する構成であってもよい。
監視結果受信部44は、IVI装置12およびイーサネット監視ECU14から出力されたホスト監視結果を示すデータと、NW監視結果を示すデータを、通信網を介して受信する(S24のY)。ホスト監視の結果を示すデータと、NW監視の結果を示すデータの少なくとも一方が、前回受信したデータから変化している場合(S26のY)、処理制御部46は、所定のセキュリティ関連処理を変更し、または車両10の挙動を変更する(S28)。他の監視装置による監視結果を未受信であれば(S24のN)、S26とS28をスキップし、監視結果に変化がなければ(S26のN)、S28をスキップする。CAN監視ECU16は、図3に示す処理を繰り返し実行する。
図3のS28の動作切替について、その具体例を説明する。図4は、IVI装置12における動作切替の例を示す。IVI装置12は、CAN監視ECU16と同様の機能ブロック(図2)を含むこととする。動作例(1)では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部46は、自装置のホスト監視において、ミドルウェアの範囲まで改ざん有無を検出するようホスト監視部36を制御する。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部46は、自装置のホスト監視において、ミドルウェアに加えてアプリケーションの範囲まで改ざん有無を検出するようホスト監視部36を制御する。
また、他の複数の監視装置によるNW監視結果がいずれも正常であれば、処理制御部46は、自装置のNW監視において、異常を検出したメッセージのみ不揮発メモリへ保存するようログ保存部38を制御する。一方、他の複数の監視装置によるNW監視結果の少なくともいずれかが異常であれば、処理制御部46は、自装置のNW監視において、異常を検出したメッセージに加えて、その前後の所定数のメッセージを不揮発メモリへ保存するようログ保存部38を制御する。
動作例(2)では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部46は、自装置のホスト監視において、自装置の起動時にのみファームウェアの改ざん有無を検出するようホスト監視部36を制御する。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部46は、自装置のホスト監視として、定期的にファームウェアの改ざんを検出するようホスト監視部36を制御する。
また、他の複数の監視装置によるNW監視結果がいずれも正常であれば、処理制御部46は、自装置の監視ログをローカルの記憶領域に保存するが、外部装置への送信を抑制するようログ保存部38およびログ送信部40を制御する。一方、他の複数の監視装置によるNW監視結果の少なくともいずれかが異常であれば、処理制御部46は、自装置の監視ログをローカルの記憶領域に保存し、かつ、SOCへ送信するようログ保存部38およびログ送信部40を制御する。
図5は、イーサネット監視ECU14における動作切替の例を示す。イーサネット監視ECU14は、CAN監視ECU16と同様の機能ブロック(図2)を含むこととする。動作例(1)では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部46は、フレーム廃棄等のフィルタリング処理を抑制するようフレーム無効化部31を制御する。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部46は、フィルタリング処理を有効にするようフレーム無効化部31を制御する。
また、CAN監視ECU16によるNW監視結果が正常であれば、処理制御部46は、許容範囲が相対的に広い監視規則に基づく監視処理を実行するようNW監視部34およびホスト監視部36の少なくとも一方を制御する。言い換えれば、処理制御部46は、イーサネット20を正常と判定する基準を緩める。一方、CAN監視ECU16によるNW監視結果が異常であれば、処理制御部46は、許容範囲が相対的に狭い監視規則に基づく監視処理を実行するようNW監視部34およびホスト監視部36の少なくとも一方を制御する。言い換えれば、処理制御部46は、イーサネット20を正常と判定する基準を厳しくする。
また、IVI装置12によるNW監視結果が正常であれば、処理制御部46は、自装置の監視ログをローカルの記憶領域に保存するが、外部装置への送信を抑制するようログ保存部38およびログ送信部40を制御する。一方、IVI装置12によるNW監視結果が異常であれば、処理制御部46は、自装置の監視ログをローカルの記憶領域に保存し、かつ、IVI装置12へ送信するようログ保存部38およびログ送信部40を制御する。
動作例(2)では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部46は、動作切替を抑制し、それまでの監視動作を継続させる。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部46は、自動運転の終了を指示するコマンドを自動運転コントローラへ送信すること、および、車両10を停止させることの少なくとも一方のフェイルセーフ処理を実行するよう自動運転コントローラもしくは他のECUを制御する。
また、CAN監視ECU16によるNW監視結果が正常であれば、処理制御部46は、異常が検出されたフレームを廃棄する等のフィルタリング処理の実行を抑制するようフレーム無効化部31を制御する。一方、CAN監視ECU16によるNW監視結果が異常であれば、処理制御部46は、フィルタリング処理を実行するようフレーム無効化部31を制御する。
また、IVI装置12によるNW監視結果が正常であれば、処理制御部46は、許容範囲が相対的に広い監視規則に基づく監視処理を実行するようNW監視部34およびホスト監視部36の少なくとも一方を制御する。一方、IVI装置12によるNW監視結果が異常であれば、処理制御部46は、許容範囲が相対的に狭い監視規則に基づく監視処理を実行するようNW監視部34およびホスト監視部36の少なくとも一方を制御する。
図6は、CAN監視ECU16における動作切替の例を示す。動作例(1)では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部46は、異常が検出されたフレームのログを所定の記憶領域に保存するが、異常が検出されたフレームに対するエラーフレームの出力を抑制するようログ保存部38およびフレーム無効化部31を制御する。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部46は、異常が検出されたフレームのログを所定の記憶領域に保存するとともに、異常が検出されたフレームに対するエラーフレームを出力するようログ保存部38およびフレーム無効化部31を制御する。
また、イーサネット監視ECU14によるNW監視結果が正常であれば、処理制御部46は、許容範囲が相対的に広い監視規則に基づく監視処理を実行するようNW監視部34およびホスト監視部36の少なくとも一方を制御する。一方、イーサネット監視ECU14によるNW監視結果が異常であれば、処理制御部46は、許容範囲が相対的に狭い監視規則に基づく監視処理を実行するようNW監視部34およびホスト監視部36の少なくとも一方を制御する。
また、IVI装置12によるNW監視結果が正常であれば、処理制御部46は、自装置の監視ログをローカルの記憶領域に保存するが、外部装置への送信を抑制するようログ保存部38およびログ送信部40を制御する。一方、IVI装置12によるNW監視結果が異常であれば、処理制御部46は、自装置の監視ログをローカルの記憶領域に保存し、かつ、IVI装置12へ送信するようログ保存部38およびログ送信部40を制御する。
動作例(2)では、他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部46は、動作切替を抑制し、それまでの監視動作を継続させる。一方、他の複数の監視装置によるホスト監視結果の少なくともいずれかが異常であれば、処理制御部46は、自動運転の終了を指示するコマンドを自動運転コントローラへ送信すること、および、車両10を停止させることの少なくとも一方のフェイルセーフ処理を実行するよう自動運転コントローラもしくは他のECUを制御する。
また、イーサネット監視ECU14によるNW監視結果が正常であれば、処理制御部46は、異常が検出されたフレームのログを所定の記憶領域に保存するが、異常が検出されたフレームに対するエラーフレームの出力を抑制するようログ保存部38およびフレーム無効化部31を制御する。一方、イーサネット監視ECU14によるNW監視結果が異常であれば、処理制御部46は、異常が検出されたフレームのログを所定の記憶領域に保存するとともに、異常が検出されたフレームに対するエラーフレームを出力するようログ保存部38およびフレーム無効化部31を制御する。
また、IVI装置12によるNW監視結果が正常であれば、処理制御部46は、許容範囲が相対的に広い監視規則に基づく監視処理を実行するようNW監視部34およびホスト監視部36の少なくとも一方を制御する。一方、IVI装置12によるNW監視結果が異常であれば、処理制御部46は、許容範囲が相対的に狭い監視規則に基づく監視処理を実行するようNW監視部34およびホスト監視部36の少なくとも一方を制御する。
実施の形態の車両10に搭載された監視装置(例えばIVI装置12、イーサネット監視ECU14、CAN監視ECU16のそれぞれ)は、他の監視装置との連携により、自装置による監視対象以外の状態を把握し、車両10全体の状態に即したセキュリティ関連処理を実行できる。また、車両10全体の状態に即して車両10の挙動を変更することができる。これにより、監視装置単体で異常を誤検知した場合にも、過度なフェイルセーフ処理の実行を回避しやすくなる。
以上、本開示を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素あるいは各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。
第1変形例を説明する。処理制御部46は、他の複数の監視装置により異常が検出された個数に応じて、予め定められた複数種類の動作切替態様の中からいずれかを選択してもよい。上記個数は、同じ監視対象(装置内部、車載NW等)にて異常を検出した監視装置の個数でもよく、異常が検出された監視対象の個数でもよい。処理制御部46は、上記個数が多いほど、自装置における監視基準をより厳しい基準へ切り替えてもよく、また、より重大な異常に対応づけられたセキュリティ関連処理を実行してもよい。
図7は、第1変形例のIVI装置12における動作切替の例を示す。他の複数の監視装置によるホスト監視結果がいずれも正常であれば、処理制御部46は、自装置のホスト監視において、装置起動時にミドルウェアの範囲まで改ざん有無を検出するようホスト監視部36を制御する。一方、他の複数の監視装置によるホスト監視結果の少なくとも1つが異常であれば、処理制御部46は、自装置のホスト監視において、装置起動時にミドルウェアに加えてアプリケーションの範囲まで改ざん有無を検出するようホスト監視部36を制御する。
さらに、他の複数の監視装置によるホスト監視結果がいずれも異常であれば、処理制御部46は、装置起動時に加えて、定期的にアプリケーションの範囲まで改ざん有無を検出するようホスト監視部36を制御する。他の複数の監視装置によるホスト監視結果がいずれも異常である場合は、自装置もプログラムの改ざん等の攻撃を受けている蓋然性が高い。そのため、通常時より監視対象と監視タイミングの両方を拡大することで、自装置の異常を迅速かつ確実に検出しやすくなる。
第2変形例を説明する。処理制御部46は、複数種類の監視対象のうち、他の複数の監視装置により異常が検出された監視対象の個数(種類数)に応じて、複数種類の動作切替態様の中からいずれかを選択してもよい。図8は、第2変形例のIVI装置12における動作切替の例を示す。同図の4行目までは、ホスト監視とNW監視の個々の正否に基づく動作切替であり、図4の動作例(1)で説明済みのため再度の説明を省略する。
処理制御部46は、ホスト監視結果とNW監視結果のそれぞれに応じて既述の動作切替を実行するとともに、ホスト監視とNW監視の両方が異常の場合はさらに、車両10の自動運転を終了させる。ホスト監視とNW監視の両方が異常の場合、処理制御部46は、監視対象の拡大、ログ保存対象の拡大とともに、自動運転を終了させてもよい。また、処理制御部46は、イーサネット監視ECU14によるホスト監視結果とCAN監視ECU16によるホスト監視結果の少なくとも一方が異常となり、イーサネット監視ECU14によるNW監視結果とCAN監視ECU16によるNW監視結果の少なくとも一方が異常となった場合に、ホスト監視とNW監視の両方が異常であると判定してもよい。
第3変形例を説明する。図9は、図2に対応し、第3変形例のCAN監視ECU16の機能構成を示すブロック図である。IVI装置12およびイーサネット監視ECU14の機能構成もCAN監視ECU16と同様になる。監視部32は、NW監視部34によるNW監視の結果と、ホスト監視部36によるホスト監視の結果の両方を処理制御部46へさらに出力してもよい。処理制御部46は、他の監視装置による監視結果と、自装置による監視結果の組み合わせに基づいて、自装置が実行するセキュリティ関連処理または車両10の挙動を変更してもよい。
図10は、第3変形例のIVI装置12における動作切替の例を示す。図10における個々の動作は、図4に関連して説明済みのため再度の説明を省略する。なお、他の監視装置のホスト監視結果が異常で、かつ、自装置の車外NW監視結果も異常の場合、セキュリティのリスクがより高いと考えられる。そこで、処理制御部46は、アプリケーションまで改ざんを検出し、かつ、定期的に自装置の改ざんを検出するように、自装置のホスト監視を制御してもよい。同様に、他の監視装置の車載NW監視結果が異常で、かつ、自装置の車外NW監視結果も異常の場合、処理制御部46は、異常メッセージ+前後のメッセージをログ保存し、かつ、SOCへログ通知を開始するように制御してもよい。
第4変形例を説明する。予め監視対象ごとに重要度が設定されてよく、監視装置の処理制御部46は、異常を検出した監視対象の重要度に応じて動作を切り替えてもよい。具体的には、処理制御部46は、他の複数の監視装置により異常が検出された監視対象の重要度に応じて、予め定められた複数種類の動作切替態様の中からいずれかを選択してもよい。上記重要度は、監視対象の種別(監視装置内部、車載NW、車外NW等)に応じて設定されてもよく、例えば、車外NWは重要度低、車載NWは重要度中、監視機器内部は重要度高が設定されてもよい。また、上記重要度は、異常が検出された監視対象の個数に応じて設定されてもよく、その個数が多いほど高い重要度が設定されてもよい。また、同種の監視対象(CAN、イーサネット等)で異なる重要度が設定されてもよい。処理制御部46は、異常が検出された監視対象の重要度が高いほど、自装置における監視基準をより厳しい基準へ切り替えてもよく、また、より重大な異常に対応付けられたセキュリティ関連処理を実行してもよい。
別の変形例を説明する。車両10は、実施の形態に記載した以外の監視装置を有してもよい。また、監視装置の個数に制約はない。例えば、車両10は、実施の形態に記載した以外のNW、例えばCAN FD(CAN with Flexible Data-Rate)、FlexRay、MOST(Media Oriented Systems Transport)等を有してもよく、これらのNWを監視する監視装置を有してもよい。また、同種のNWが複数チャネル(例えば複数バス)設けられる場合、各チャネルに対して別の監視装置が設けられてもよい。例えば、2種類の車外NWに対して、エントリポイントの監視装置が2つ設けられてもよい。また、2つのCANに対して、2つのCAN監視ECUが設けられてもよい。
車両10に搭載される監視装置は2つでもよい。ここでは、車両10に、IVI装置12とCAN監視ECU16が搭載されることとし、IVI装置12における動作切替の例を図4の動作例(1)を参照しつつ説明する。CAN監視ECU16によるホスト監視結果が正常であれば、IVI装置12は、自装置のホスト監視において、ミドルウェアの範囲まで改ざん有無を検出するよう制御する。一方、CAN監視ECU16によるホスト監視結果が異常であれば、IVI装置12は、自装置のホスト監視において、ミドルウェアに加えてアプリケーションの範囲まで改ざん有無を検出するよう制御する。また、CAN監視ECU16によるNW監視結果が正常であれば、IVI装置12は、自装置のNW監視において、異常を検出したメッセージのみ不揮発メモリへ保存するよう制御する。一方、CAN監視ECU16によるNW監視結果が異常であれば、IVI装置12は、自装置のNW監視において、異常を検出したメッセージに加えて、その前後の所定数のメッセージを不揮発メモリへ保存するよう制御する。
ゲートウェイや制御ECU等、任意のECUが、実施の形態に記載の監視機能を有してもよい。
監視装置間における監視結果のデータの通知方法は、任意の公知技術を適用できる。例えば、車載ネットワーク(CAN、CAN FD、イーサネット、MOST、FlexRay等)を介して監視結果を通知してもよい。また、専用線(ジカ線、CAN、イーサネット等)を介して監視結果を通知してもよい。
処理制御部46は、自動運転の有効化、無効化に限らず、監視結果に応じて、他の機器へ動作切替指示を送信してもよい。
監視結果は、正常と異常だけでなく、未定状態を含んでもよい。未定状態は、例えば、監視機能動作前の状態を含んでもよく、監視機能による検証中の状態を含んでもよい。車両10における複数の監視装置のそれぞれは、監視機能動作前または検証中において未定状態を示す監視結果を他の監視装置へ通知してもよい。
処理制御部46は、監視結果が未定状態の場合、監視結果が正常および異常の場合とは異なる処理を実行してもよい。処理制御部46は、全ての監視結果、例えば、自装置および他の監視装置によるホスト監視結果とNW監視結果の少なくとも一部に未定状態または異常が含まれる場合、自動運転機能を有効化しないよう自動運転コントローラまたはADASを制御してもよい。また、処理制御部46は、未定状態を示す監視結果が他の監視装置から通知された場合、当該他の監視装置から異常を示す監視結果が通知されるまで、すなわち異常が確定するまでは、フレームの無効化処理を抑制するようにフレーム無効化部31を制御してもよい。
また、監視結果は、正常と異常に加えてグレー状態を含んでもよく、または、正常と異常と未定状態に加えてグレー状態を含んでもよい。グレー状態は、監視機能により正常または異常を判断することが難しい状態である。例えば、NW監視部34は、正常の範囲に含まれる値をとるメッセージであるが、当該メッセージの値が、異常と判断する閾値に近い場合、当該メッセージをグレー状態として判定してもよく、また、NW監視結果をグレー状態と判定してもよい。同様にホスト監視部36も、自装置の状態に関する値が正常の範囲であるが、その値が、異常と判断する閾値に近い場合、ホスト監視結果をグレー状態と判定してもよい。処理制御部46は、監視結果がグレー状態の場合、監視結果が正常、異常、未定状態の場合とは異なる処理を実行してもよい。
なお、上記実施の形態では、車両に搭載される車載ネットワークにおけるセキュリティ対策として説明したが、本開示の適用範囲はこれに限られない。車両は、モビリティの一例である。本開示は、車両に限らず、建機、農機、船舶、鉄道、飛行機などのモビリティにも適用してもよい。
なお、実施の形態および変形例に記載の技術は、以下の項目によって特定されてもよい。
[項目1]
監視装置は、モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する。監視装置は、受信部と、制御部と、を有する。受信部は、第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する。制御部は、他の監視装置による異常検出結果に応じて、監視装置が実行する処理を変更する。
監視装置は、モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する。監視装置は、受信部と、制御部と、を有する。受信部は、第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する。制御部は、他の監視装置による異常検出結果に応じて、監視装置が実行する処理を変更する。
この監視装置によると、監視装置単体で状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御可能になる。
[項目2]
項目1に記載の監視装置はエントリポイント機器であってよい。第一監視対象はエントリポイント機器またはモビリティの外部のネットワークであってよい。他の監視装置は電子制御ユニットであってよい。第二監視対象は電子制御ユニットまたはモビリティの内部のネットワークであってよい。
項目1に記載の監視装置はエントリポイント機器であってよい。第一監視対象はエントリポイント機器またはモビリティの外部のネットワークであってよい。他の監視装置は電子制御ユニットであってよい。第二監視対象は電子制御ユニットまたはモビリティの内部のネットワークであってよい。
この監視装置によると、監視装置単体で状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御可能になる。
[項目3]
項目2に記載の監視装置は、第一監視対象が異常状態かを検出する検出部、をさらに有してよい。制御部は、検出部による検出処理を変更してよい。
項目2に記載の監視装置は、第一監視対象が異常状態かを検出する検出部、をさらに有してよい。制御部は、検出部による検出処理を変更してよい。
この監視装置によると、モビリティに関連する様々な要素の状態に応じて、監視処理の態様を適切に調整することができる。
[項目4]
項目2または3に記載の監視装置は、第一監視対象の異常検出結果を示すログを保存する保存部、をさらに有してよい。制御部は、保存部による保存処理を変更してよい。
項目2または3に記載の監視装置は、第一監視対象の異常検出結果を示すログを保存する保存部、をさらに有してよい。制御部は、保存部による保存処理を変更してよい。
この監視装置によると、モビリティに関連する様々な要素の状態に応じて、ログの保存処理の態様を適切に調整することができる。
[項目5]
項目1に記載の監視装置は、モビリティの内部の第一ネットワークを監視する第一監視電子制御ユニットであってよい。第一監視対象は、第一監視電子制御ユニットまたは第一ネットワークであってよい。他の監視装置は、第一ネットワークとは異なるモビリティの内部の第二ネットワークを監視する第二監視電子制御ユニットであってよい。第二監視対象は、第二監視電子制御ユニットまたは第二ネットワークであってよい。
項目1に記載の監視装置は、モビリティの内部の第一ネットワークを監視する第一監視電子制御ユニットであってよい。第一監視対象は、第一監視電子制御ユニットまたは第一ネットワークであってよい。他の監視装置は、第一ネットワークとは異なるモビリティの内部の第二ネットワークを監視する第二監視電子制御ユニットであってよい。第二監視対象は、第二監視電子制御ユニットまたは第二ネットワークであってよい。
この監視装置によると、監視装置単体で状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御可能になる。
[項目6]
項目5に記載の監視装置において、第一ネットワークおよび第二ネットワークは、一方がイーサネットであり、他方がCANであってよい。
項目5に記載の監視装置において、第一ネットワークおよび第二ネットワークは、一方がイーサネットであり、他方がCANであってよい。
この監視装置によると、モビリティにイーサネットおよびCANが併設される場合に、それらの状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御可能になる。
[項目7]
項目5または6に記載の監視装置は、第一監視対象が異常状態かを検出する検出部と、をさらに有してよい。制御部は、検出部による検出処理を変更してよい。
項目5または6に記載の監視装置は、第一監視対象が異常状態かを検出する検出部と、をさらに有してよい。制御部は、検出部による検出処理を変更してよい。
この監視装置によると、監視装置単体で状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、自装置による監視処理を一層適切に制御可能になる。
[項目8]
項目5から7のいずれか1項目に記載の監視装置は、フレーム受信部と、無効化部と、をさらに有してよい。フレーム受信部は、外部装置から送信されたメッセージを受信する。無効化部は、メッセージを無効化する。制御部は、無効化部による無効化処理を変更してよい。
項目5から7のいずれか1項目に記載の監視装置は、フレーム受信部と、無効化部と、をさらに有してよい。フレーム受信部は、外部装置から送信されたメッセージを受信する。無効化部は、メッセージを無効化する。制御部は、無効化部による無効化処理を変更してよい。
この監視装置によると、モビリティに関連する様々な要素の状態に応じて、メッセージのフィルタリングまたは無効化等の態様を適切に調整することができる。
[項目9]
項目5から8のいずれか1項目に記載の監視装置は、第一監視対象の異常検出結果を示すログを保存する保存部をさらに有してよい。制御部は、保存部による保存処理を変更してよい。
項目5から8のいずれか1項目に記載の監視装置は、第一監視対象の異常検出結果を示すログを保存する保存部をさらに有してよい。制御部は、保存部による保存処理を変更してよい。
この監視装置によると、モビリティに関連する様々な要素の状態に応じて、ログの保存処理の態様を適切に調整することができる。
[項目10]
項目5から9のいずれか1項目に記載の監視装置は、第一監視対象の異常検出結果を示すログを外部装置へ通知する通知部をさらに有してよい。制御部は、通知部による通知処理を変更してよい。
項目5から9のいずれか1項目に記載の監視装置は、第一監視対象の異常検出結果を示すログを外部装置へ通知する通知部をさらに有してよい。制御部は、通知部による通知処理を変更してよい。
この監視装置によると、モビリティに関連する様々な要素の状態に応じて、ログの通知処理の態様を適切に調整することができる。
[項目11]
項目5から10のいずれか1項目に記載の監視装置において、制御部は、モビリティの自動運転機能に関する処理を変更してよい。
項目5から10のいずれか1項目に記載の監視装置において、制御部は、モビリティの自動運転機能に関する処理を変更してよい。
この監視装置によると、モビリティに関連する様々な要素の状態に応じて、当該モビリティにおける自動運転機能を適切に制御することができる。
[項目12]
監視システムは、第一監視装置と、第二監視装置と、を有する。第一監視装置は、モビリティに搭載される。第一監視装置は、第一監視対象が異常状態かを検出し、第一監視対象とは異なる第二監視対象を監視する第二監視装置へ、異常検出結果を送信する。第二監視装置は、モビリティに搭載される。第二監視装置は、第一監視装置から送信された異常検出結果を受信し、異常検出結果に応じて、第二監視装置が実行する処理を変更する。
監視システムは、第一監視装置と、第二監視装置と、を有する。第一監視装置は、モビリティに搭載される。第一監視装置は、第一監視対象が異常状態かを検出し、第一監視対象とは異なる第二監視対象を監視する第二監視装置へ、異常検出結果を送信する。第二監視装置は、モビリティに搭載される。第二監視装置は、第一監視装置から送信された異常検出結果を受信し、異常検出結果に応じて、第二監視装置が実行する処理を変更する。
この監視システムによると、1つの監視装置により状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御可能になる。
[項目13]
コンピュータプログラムは、モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する監視装置に、第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する受信処理を実行させる。また、コンピュータプログラムは、監視装置に、他の監視装置による異常検出結果に応じて、監視装置が実行する処理を変更する制御処理を実行させる。
コンピュータプログラムは、モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する監視装置に、第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する受信処理を実行させる。また、コンピュータプログラムは、監視装置に、他の監視装置による異常検出結果に応じて、監視装置が実行する処理を変更する制御処理を実行させる。
このコンピュータプログラムによると、監視装置単体で状態を監視可能な範囲を超えた、モビリティに関連する様々な要素の状態に応じて、セキュリティ関連処理の態様またはモビリティの挙動を一層適切に制御する監視装置を実現できる。
上述した実施の形態および変形例の任意の組み合わせもまた本開示の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施の形態および変形例それぞれの効果をあわせもつ。また、請求項に記載の各構成要件が果たすべき機能は、実施の形態および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。
本開示は、データ処理技術に関し、特に監視装置、監視システムおよびコンピュータプログラムとして有用である。
10 車両(モビリティ)
12 IVI装置
14 イーサネット監視ECU
16 CAN監視ECU
18 車外NW
20 イーサネット
22 CAN
30 フレーム受信部
31 フレーム無効化部
32 監視部
34 NW監視部
36 ホスト監視部
38 ログ保存部
40 ログ送信部
42 監視結果送信部
44 監視結果受信部
46 処理制御部
12 IVI装置
14 イーサネット監視ECU
16 CAN監視ECU
18 車外NW
20 イーサネット
22 CAN
30 フレーム受信部
31 フレーム無効化部
32 監視部
34 NW監視部
36 ホスト監視部
38 ログ保存部
40 ログ送信部
42 監視結果送信部
44 監視結果受信部
46 処理制御部
Claims (13)
- モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する監視装置であって、
前記第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する受信部と、
前記他の監視装置による異常検出結果に応じて、前記監視装置が実行する処理を変更する制御部と、
を備える監視装置。 - 前記監視装置はエントリポイント機器であり、前記第一監視対象は前記エントリポイント機器または前記モビリティの外部のネットワークであり、
前記他の監視装置は電子制御ユニットであり、前記第二監視対象は前記電子制御ユニットまたは前記モビリティの内部のネットワークである、
請求項1に記載の監視装置。 - 前記第一監視対象が異常状態かを検出する検出部、をさらに備え、
前記制御部は、前記検出部による検出処理を変更する、
請求項2に記載の監視装置。 - 前記第一監視対象の異常検出結果を示すログを保存する保存部、をさらに備え、
前記制御部は、前記保存部による保存処理を変更する、
請求項2または3に記載の監視装置。 - 前記監視装置は、前記モビリティの内部の第一ネットワークを監視する第一監視電子制御ユニットであり、
前記第一監視対象は、前記第一監視電子制御ユニットまたは前記第一ネットワークであり、
前記他の監視装置は、前記第一ネットワークとは異なる前記モビリティの内部の第二ネットワークを監視する第二監視電子制御ユニットであり、
前記第二監視対象は、前記第二監視電子制御ユニットまたは前記第二ネットワークである、
請求項1に記載の監視装置。 - 前記第一ネットワークおよび前記第二ネットワークは、一方がイーサネットであり、他方がCANである
請求項5に記載の監視装置。 - 前記第一監視対象が異常状態かを検出する検出部と、をさらに備え、
前記制御部は、前記検出部による検出処理を変更する、
請求項5または6に記載の監視装置。 - 外部装置から送信されたメッセージを受信するフレーム受信部と、
前記メッセージを無効化する無効化部と、をさらに備え、
前記制御部は、前記無効化部による無効化処理を変更する、
請求項5から7のいずれか1項に記載の監視装置。 - 前記第一監視対象の異常検出結果を示すログを保存する保存部をさらに備え、
前記制御部は、前記保存部による保存処理を変更する、
請求項5から8のいずれか1項に記載の監視装置。 - 前記第一監視対象の異常検出結果を示すログを外部装置へ通知する通知部をさらに備え、
前記制御部は、前記通知部による通知処理を変更する、
請求項5から9のいずれか1項に記載の監視装置。 - 前記制御部は、前記モビリティの自動運転機能に関する処理を変更する、
請求項5から10のいずれか1項に記載の監視装置。 - モビリティに搭載される第一監視装置が、
第一監視対象が異常状態かを検出し、
前記第一監視対象とは異なる第二監視対象を監視する第二監視装置へ、異常検出結果を送信し、
前記モビリティに搭載される前記第二監視装置が、
前記第一監視装置から送信された前記異常検出結果を受信し、
前記異常検出結果に応じて、前記第二監視装置が実行する処理を変更する、
監視システム。 - モビリティに搭載される複数の監視装置に含まれる、第一監視対象の異常状態を監視する監視装置に、
前記第一監視対象とは異なる第二監視対象の異常状態を監視する他の監視装置による異常検出結果を受信する受信処理と、
前記他の監視装置による異常検出結果に応じて、前記監視装置が実行する処理を変更する制御処理と、
を実行させるためのコンピュータプログラム。
Priority Applications (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
DE112018004881.0T DE112018004881T5 (de) | 2017-08-30 | 2018-07-06 | Überwachungsvorrichtung, Überwachungssystem und Computerprogramm |
US16/783,487 US20200177412A1 (en) | 2017-08-30 | 2020-02-06 | Monitoring device, monitoring system, and computer readable storage medium |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2017165141A JP6913869B2 (ja) | 2017-08-30 | 2017-08-30 | 監視装置、監視システムおよびコンピュータプログラム |
JP2017-165141 | 2017-08-30 |
Related Child Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
US16/783,487 Continuation US20200177412A1 (en) | 2017-08-30 | 2020-02-06 | Monitoring device, monitoring system, and computer readable storage medium |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2019044174A1 true WO2019044174A1 (ja) | 2019-03-07 |
Family
ID=65525021
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/JP2018/025740 WO2019044174A1 (ja) | 2017-08-30 | 2018-07-06 | 監視装置、監視システムおよびコンピュータプログラム |
Country Status (4)
Country | Link |
---|---|
US (1) | US20200177412A1 (ja) |
JP (1) | JP6913869B2 (ja) |
DE (1) | DE112018004881T5 (ja) |
WO (1) | WO2019044174A1 (ja) |
Families Citing this family (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP7192747B2 (ja) * | 2019-11-13 | 2022-12-20 | 株式会社オートネットワーク技術研究所 | 車載中継装置及び情報処理方法 |
US20240031382A1 (en) | 2020-12-10 | 2024-01-25 | Autonetworks Technologies, Ltd. | In-vehicle apparatus, fraud detection method, and computer program |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2015136107A (ja) * | 2014-01-06 | 2015-07-27 | アーガス サイバー セキュリティ リミテッド | グローバル自動車安全システム |
JP2016134914A (ja) * | 2015-01-20 | 2016-07-25 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America | 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム |
JP2016134170A (ja) * | 2015-01-20 | 2016-07-25 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America | 不正対処方法及び電子制御ユニット |
Family Cites Families (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP6531011B2 (ja) | 2015-09-04 | 2019-06-12 | 日立オートモティブシステムズ株式会社 | 車載ネットワーク装置 |
-
2017
- 2017-08-30 JP JP2017165141A patent/JP6913869B2/ja active Active
-
2018
- 2018-07-06 DE DE112018004881.0T patent/DE112018004881T5/de active Pending
- 2018-07-06 WO PCT/JP2018/025740 patent/WO2019044174A1/ja active Application Filing
-
2020
- 2020-02-06 US US16/783,487 patent/US20200177412A1/en not_active Abandoned
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2015136107A (ja) * | 2014-01-06 | 2015-07-27 | アーガス サイバー セキュリティ リミテッド | グローバル自動車安全システム |
JP2016134914A (ja) * | 2015-01-20 | 2016-07-25 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America | 不正検知ルール更新方法、不正検知電子制御ユニット及び車載ネットワークシステム |
JP2016134170A (ja) * | 2015-01-20 | 2016-07-25 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカPanasonic Intellectual Property Corporation of America | 不正対処方法及び電子制御ユニット |
Also Published As
Publication number | Publication date |
---|---|
JP6913869B2 (ja) | 2021-08-04 |
US20200177412A1 (en) | 2020-06-04 |
DE112018004881T5 (de) | 2020-06-18 |
JP2019047177A (ja) | 2019-03-22 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
KR102524204B1 (ko) | 차량용 네트워크의 침입 대응 장치 및 방법 | |
JP6846706B2 (ja) | 監視装置、監視方法およびコンピュータプログラム | |
JP7231559B2 (ja) | 異常検知電子制御ユニット、車載ネットワークシステム及び異常検知方法 | |
CN111448787B (zh) | 用于提供安全的车载网络的***及方法 | |
JP5702829B2 (ja) | 中継装置 | |
WO2018135098A1 (ja) | 監視装置、監視方法およびコンピュータプログラム | |
JP6369341B2 (ja) | 車載通信システム | |
JP6782444B2 (ja) | 監視装置、監視方法およびコンピュータプログラム | |
US20210258187A1 (en) | Electronic control device, electronic control method, and recording medium | |
JP2019008618A (ja) | 情報処理装置、情報処理方法及びプログラム | |
JP6586500B2 (ja) | データバスによってメッセージシーケンスを送信するための方法及び装置並びにこうして送信されるメッセージシーケンスに対する攻撃を認識するための方法及び装置 | |
WO2021111681A1 (ja) | 情報処理装置、制御方法及びプログラム | |
WO2019044174A1 (ja) | 監視装置、監視システムおよびコンピュータプログラム | |
US12039050B2 (en) | Information processing device | |
JP6404848B2 (ja) | 監視装置、及び、通信システム | |
JP7006461B2 (ja) | 電子制御装置および電子制御システム | |
CN115016426A (zh) | fail-safe失效安全***,方法,储存器及汽车 | |
JP2012174198A (ja) | 異常検出装置、および異常検出プログラム | |
WO2020105657A1 (ja) | 車載中継装置及び中継方法 | |
JP7471532B2 (ja) | 制御装置 | |
US20230267204A1 (en) | Mitigating a vehicle software manipulation | |
US20230075593A1 (en) | Information processing device, information processing system, information processing method, and recording medium storing information processing program | |
WO2023084624A1 (ja) | 車載制御装置 | |
JP5545125B2 (ja) | 通信装置 | |
JP2023122636A (ja) | 車両のソフトウェアの改竄の軽減 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 18851946 Country of ref document: EP Kind code of ref document: A1 |
|
122 | Ep: pct application non-entry in european phase |
Ref document number: 18851946 Country of ref document: EP Kind code of ref document: A1 |